LGPD · Artigos 5º, XVII e 38 da LGPD

Relatório de Impacto (RIPD) descomplicado para o seu negócio.

Saiba quando a elaboração do Relatório de Impacto à Proteção de Dados Pessoais é obrigatória por lei, o que documentar e como estruturar planos de mitigação robustos exigidos pela ANPD.

Ver texto oficial

Fatos-chave

Base Normativa

Artigos 5º, XVII e 38 da Lei Federal 13.709/2018

Objetivo

Mapear riscos à privacidade dos titulares e estruturar mitigações técnicas

Responsável

O Controlador institucional, sob validação direta do DPO

Fiscalização

A ANPD possui prerrogativas para requisitar o dossiê a qualquer tempo

O que é o RIPD (Relatório de Impacto à Proteção de Dados Pessoais)

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) — internacionalmente conhecido como DPIA ou AIPD — é o documento oficial de gerenciamento de riscos que detalha os perigos potenciais que um determinado tratamento de informações pode causar aos direitos e garantias dos titulares. O relatório descreve as etapas do tratamento, avalia a necessidade proporcional do processo e registra as barreiras institucionais aplicadas para conter incidentes.

Pontos-chave

Funciona como a principal evidência física de accountability (demonstração de conformidade) perante a ANPD.
Exige revisões e atualizações contínuas sempre que houver alterações nas tecnologias ou escopos de tratamento.
Atua de forma complementar ao inventário de dados, aprofundando análises em áreas de alta exposição.

Quando a elaboração do RIPD se torna obrigatória

Nem todo fluxo de informações exige a abertura de um processo de impacto. No entanto, as diretrizes de privacidade e resoluções da ANPD sinalizam a obrigatoriedade imediata em cenários específicos, como o tratamento de dados sensíveis (biometria ou saúde) em escala relevante, o monitoramento sistemático de comportamentos digitais, o perfilamento automatizado e o processamento de dados de crianças e adolescentes.

Pontos-chave

Lançamento de novas funcionalidades, aplicativos integrados ou novas finalidades de negócios.
Uso estratégico de informações de geolocalização ou rastreabilidade de perfis corporativos.
Transferência internacional massiva de dados corporativos com parceiros comerciais e holdings externas.
Sempre que uma política de risco de privacidade interna ou fiscalizações da ANPD demandarem parecer prévio.

O que incluir no relatório de impacto para a ANPD

Um RIPD estruturado e aceito por auditores regulatórios deve conter uma descrição transparente de todo o ciclo de vida dos dados, a justificativa jurídica da base legal escolhida, os riscos mapeados (ameaças à confidencialidade e integridade dos titulares) e as barreiras vigentes. O dossiê precisa documentar o parecer técnico do DPO e registrar a aprovação dos níveis de riscos residuais assumidos.

Pontos-chave

Mapeamento e representação visual clara de todos os fluxos organizacionais de dados compartilhados.
Cálculos matemáticos ou matrizes de riscos cruzando probabilidade e gravidade de impactos para os titulares.
Medidas técnicas de segurança da informação implementadas, como criptografias de base e limites de retenção.
Plano de ação formal contendo metas de mitigação operacionais, donos definidos e prazos de revisão.

Versionamento e fiscalizações em tempo real

A Autoridade Nacional pode intimar o envio do relatório a qualquer momento durante inspeções regulatórias. Entregar documentos desatualizados — onde o produto ou o fornecedor já mudaram — invalida o esforço perante as autoridades fiscais. Controlar o versionamento e vincular os RIPDs diretamente ao mapa geral de tratamentos protege o histórico corporativo em auditorias.

Pontos-chave

Assegure que cada RIPD emitido esteja indexado ao inventário de dados principal (ROPA).
Rode reavaliações emergenciais no relatório logo após incidentes de segurança corporativos.
O DPO realiza as validações de riscos e a alta direção aprova formalmente as vulnerabilidades residuais.

Da norma à operação

Como estruturar um processo de RIPD eficiente

Elaborar relatórios de impacto de forma manual engessa os times de inovação. Siga estes passos estratégicos para automatizar as análises corporativas e garantir relatórios sólidos para apresentar à ANPD.

Cruze o inventário de dados com gatilhos de red flags

Identifique de forma automatizada quais fluxos corporativos exigem a abertura de um RIPD antes do go-live das novas aplicações, prevenindo passivos regulatórios futuros.

Adote uma estrutura padrão de questionários de impacto

Utilize templates estruturados e consistentes para acelerar as coletas de dados entre diferentes squads e setores internos de negócios, facilitando comparações técnicas de riscos.

Vincule as mitigações a tarefas operacionais com donos

Evite relatórios meramente conceituais. Garanta que cada vulnerabilidade listada gere um plano de ação integrado aos fluxos de trabalho das equipes de TI e segurança.

Monitore os ciclos de versionamentos e prazos

Mantenha o histórico completo de alterações e revisões. Centralize os logs de aprovação do encarregado (DPO) e as assinaturas executivas prontas para due diligences externas.

Ver módulo LGPD na Sincera

Normas relacionadas

Continue por aqui

LGPDO guia completo abordando os princípios, sanções, obrigações e bases legais da Lei Geral de Proteção de Dados.Ler guia

O papel do DPOAs atribuições legais, responsabilidades e a rotina do encarregado de dados no gerenciamento do programa.Ler guia

Módulo LGPD SinceraComo simplificar inventários corporativos, centrais de titulares e relatórios RIPD em um só ambiente.Ler guia

Perguntas frequentes

Dúvidas recorrentes sobre o Relatório de Impacto

Não, a elaboração não é irrestrita. O relatório é imperativo apenas para processos comerciais de alto risco para as liberdades civis dos usuários ou nos cenários expressamente descritos na Lei 13.709/2018 e normativas adicionais emitidas pela ANPD. Fluxos operacionais simples e corriqueiros necessitam apenas de registro em inventário comum.

A montagem das informações reúne os donos dos processos de negócios e as frentes técnicas de segurança corporativa. O encarregado (DPO) atua revisando e chancelando o documento com seu parecer profissional. Contudo, a assinatura final de aceite sobre os riscos residuais do negócio cabe à governança e à diretoria executiva do controlador.

Não integralmente. A Dina e a plataforma Sincera apoiam a estruturação do rascunho de forma inteligente — aproveitando os mapas de dados, disparando questionários para as áreas internas e compilando históricos em relatórios padronizados. No entanto, a interpretação contextual do risco, a validação técnica e o parecer legal exigem o julgamento humano e crítico do DPO.

As duas frentes operam de formas completamente separadas. Os Avisos e Políticas de Privacidade são documentos externos públicos criados para informar de forma simples os titulares sobre o uso de dados. O RIPD é um dossiê técnico interno sigiloso focado em mapear riscos operacionais profundos e documentar mitigações estruturadas perante fiscalizações.

Precisa emitir relatórios RIPD de forma ágil e à prova de auditorias da ANPD?

Conecte seus mapeamentos de fluxos a questionários de riscos padronizados, gerencie planos de ações de segurança e centralize logs de versionamentos em um ecossistema desenvolvido para times enxutos.

Conhecer módulo LGPD